黑客技術(shù)

破解密碼、Scanner 、Windows和Nt 、Sniffer 、再議 Sniffer ARP 、欺騙技術(shù)　

- c* B: e/ {2 h, B盡一年沒來了，發(fā)現(xiàn)帳號還在，嘻嘻。。。挺好。
看了這版的文章，覺得有些想法，好象大家對網(wǎng)上安全的問題看法差別很大，有些好象還覺得網(wǎng)上真的很安全，呵呵。。所以想有時間分幾次談談自己的看法，不過想先舉個例子，就學校的網(wǎng)絡系統(tǒng)而言，用10秒的時間，你可以看到什么？
我看到的是這樣的：

4 X8 m* V, k; @5 u4 r! l5 U210.34.0.12='www.xmu.edu.cn'
210.34.0.13='bbs.xmu.edu.cn'
4 K  {* }  t5 x4 }0 N% V210.34.0.14='dns.xmu.edu.cn'
& _& l- k: S$ V4 f/ L210.34.0.17='yanan.xmu.edu.cn'
# b0 `" ^: ~; Q9 w: J210.34.0.18='JingXian.xmu.edu.cn'
210.34.0.55='nv6000.xmu.edu.cn'
210.34.0.1='router.xmu.edu.cn'
% D& d0 @: I+ X/ u% e4 o3 t210.34.0.2='xmu.edu.cn'
% a, @4 R' b& Q1 s210.34.0.15
210.34.0.65='net.xmu.edu.cn'
210.34.0.66
& Z5 G) O0 F4 D- o
% N# G/ i  B* o0 \8 H9 {ok.那么這些又代表什么呢？
看看bbs--210.34.0.13吧,再用10秒。

0 {. Q' ]# m- E9 r1 b1 s# [Port 13 found. Desc='daytime'
Port 9 found. Desc='discard'
! m* M3 ~0 o9 YPort 19 found. Desc='chargen'
9 u; l; h. u4 I# H0 g( GPort 21 found. Desc='ftp'
' Q0 _! c! A8 a( [* C$ k) d' Z^^^
: r; G1 O( n8 I% Z+ o, ?) e可能有東東的。
" y! a; t+ M+ e! p( ?  I請參考CERT coordination Center 關(guān)于這個東東的說明。
' Q: g5 x  I9 v/ a4 c5 Iwuarchive.wustl.edu:/packages/ftpd.wuarchive.shar

Port 22 found.
+ c  q& e) H  u+ |0 tPort 23 found. Desc='telnet'
- c3 D' `% I  V6 t' v5 YPort 25 found. Desc='smtp'
: d# D" p* M# J0 M7 _4 i; ~: B  Q( [Port 80 found. Desc='www'
^^^^^^^^^^^^^^^^^^^
3 i. h8 G% w9 u( o( z這是個bug.使用別的工具，你可以看到進程所有者。呵呵。。你說是root嗎？

Port 110 found. Desc='pop3'
# a2 L  f# G' M2 |1 T6 ZPort 111 found. Desc='portmap/sunrpc'
8 t! B$ \6 G9 SPort 37 found. Desc='time'
Port 7 found. Desc='echo'
Port 513 found. Desc='login/who'
" w# f1 V6 @2 S5 z/ ^* }Port 514 found. Desc='shell/syslog'
7 H9 Q) k7 K/ D% iPort 540 found. Desc='uucp'
7 I$ h# e6 U, v8 mPort 970 found.
Port 971 found.
Port 972 found.
Port 976 found.
0 C0 M1 b2 U  ~3 L: a) `Port 977 found.
& n# b. G: S  F0 Y# s% l2 T
提供的服務不少嘛，好了，現(xiàn)在對一個有經(jīng)驗的hacker（是hacker，不是cracker）來說，這臺主機已經(jīng)在你手上了，離root不遠了，這里我只是舉個例子。并沒有褒貶本bbs的意思。還望見諒。當然，這沒什么。相信很多人可以這樣的。所以，我想對網(wǎng)絡的安全問題談自己的一些看法，邊整理邊貼，貼到哪里算哪里。可能會涉及到的有關(guān)參考資料，技術(shù)報告，白皮書等，我會盡可能列出網(wǎng)址。對于 提供的服務不少嘛，好了，現(xiàn)在對一個有經(jīng)驗的hacker（是hacker，不是cracker）來說，這臺主機已經(jīng)在你手上了，離root不遠了，這里我只是舉個例子。并沒有褒貶本bbs的意思。還望見諒。當然，這沒什么。相信很多人可以這樣的。所以，我想對網(wǎng)絡的安全問題談自己的一些看法，邊整理邊貼，貼到哪里算哪里。某些用PostScript格式的說明文件，你可以到這些地方去下載。能列出網(wǎng)址。對于
ftp://ftp.winsite.com/pub/pc/winnt/txtutil/rops3244.zip
' W7 R3 P7 z" S; xhttp://www.cs.wisc.edu/%7Eghost/gsview/index.html
相關(guān)的工具軟件我也會列出下載站點，但是某些程序請你自己編譯，并且不保證沒有特絡伊木馬或其他惡意代碼。
/ G/ q  K: c! r. G. M
從Crack Password說起吧。

# r/ K$ A9 v+ A( w, e; J黑客技術(shù)(2)-破解密碼

7 n4 t# J  a& F所有看法純屬個人見解，歡迎指正，有悖你想法的地方，請E_mail:s_p_p@hotmail.com

& N9 D# i+ g9 P3 A6 l密碼破解：
  x1 b1 w+ C/ M+ ~5 }( {5 P5 M; _網(wǎng)絡很大一部分安全是靠密碼保護的，但是密碼可以被破解，所以還是有可能被人入侵系統(tǒng)的。我想這是大部分人對破解密碼的看法。也就是，我可以用一些技巧來獲得系統(tǒng)的口令文件，然后我用某個算法來計算加密的口令，然后，呵呵。。其實不然。。事實上，我的看法是被加密過的密碼大部分是不可能被解碼的。加密算法的過程絕大多數(shù)是單向的。所以，真正加密過的密碼是不可能解出來的。（Microsoft例外，呵呵 。。）
4 Q- `( O# }' T大部分的破解程序只是使用和原來加密密碼的同樣算法，透過分析，試著找出對應的加密版本和原來的密碼。也就是通常cracker們說的“暴力”算法。一個一個試。呵呵。。試到你提供的字典文件中的某個單詞剛剛好和那個傻瓜用戶的密碼一樣，如果字典文件找完了，還沒有一個一樣的單詞，呵呵，，我看什么東東都沒有，白浪費時間而已，所以，很多的高手通常的字典文件都100M左右，不奇怪的。 可見，“大多數(shù)人認為只要他們的密碼沒有在usr/dict/words中，就安全了，所以不關(guān)心帳號的安全。。 ”（Daniel V. Klein 的"A survey of implements to,Password Security")所以，提供注冊密碼或CD-Keys不是破解密碼，而在網(wǎng)上提供這些東東的行為和海盜沒什么差別。你可以到alt.cracks這個新聞組里看看這些海盜們。
! H/ L& K# h: c
真正的破解密碼程序看起來向這樣：
; b5 X6 y4 M/ @" N
# f- o+ o& l1 S1 G0 xMicrosort很關(guān)心是不是有人偷了他的windows。所以Microsoft搞了一個CD-keys的保護程序。相信大家都知道是怎么一回事，有個人呢，看不下去，所以就寫了一個程序，經(jīng)過
9 H" n( I9 f1 n3 Z" u6 l6 \  l2 ?- K1。將所有明顯的和跟鍵值無關(guān)的拿掉。
2。將剩下的數(shù)全部相加。
3。結(jié)果除7。
7 B1 |# E* F) A& K3 U如果你沒得到小數(shù)，你拿到了一個有效的CD-Keys。
設(shè)計這個軟件的人叫Donald Moore，你可以在
. v0 U. C4 o" whttp://www.apexsc.com/vb/lib/lib3.html 得到整個詳細說明和分析。
在：http://www.futureone.com/~damaged/pc/microsoft_cd_key/mscdsrc.html
- U7 H4 Q: _' R! V7 C得到完整源代碼。
0 d5 Y6 a4 I; r7 S9 j- G
還有的呢？ 我想大多數(shù)人對UNix平臺的密碼很感興趣。在Unix上，所有使用者的id 和密碼都放在一個集中的地方，/etc/passwd(shadow).因此我們關(guān)心的就是這個地方舒服嗎？事實上從DES(美國國家標準局和國家安全總署聯(lián)合背書的)的加密程序Crypt(3)來看，想要破解是有這樣一種可能的(1/70,000,000,000,000,000)幾率。
(詳細的DES，crypt資料從:ftp://gatekeeper.dec.com/glibc-1.09.1.tar.gz拿到)
: o' {: _# }. M% W+ i1 I7 @但是，如果你拿到passwd,取出密碼段喂給某個程序，加密后和原來的做比較，如果一樣，90%你拿到口令了。就是這么簡單。網(wǎng)絡其實就這么安全。

4 j7 |( t0 P: R, ]
7 \' }. B8 o" i# b: p如何拿到passwd超出本版的范圍，也不在我知識掌握之中，但是，你可以從
http://sdg.ncsa.uiuc.edu/~mag/Misc/wordlists.html下載幾個字典文件研究一下。
& a) M; C7 N9 u1 n- M6 B, P; \從：http://www.fc.net/phrack/under/misc.html
http://www.ilf.net/~toast/files/
http://www.interware.net/~jcooper/cracks.htm拿到CrackerJack.
從：http://tms.netrom.com/~cassidy/crack.htm拿到PaceCrack95.
看看他們對你的系統(tǒng)有沒有威脅。

0 B" k! s0 k- |9 }; e其他的密碼破解采用相近的方法。有興趣的話，你可以找一個zipCrack10或
. H5 m4 D; ]7 R& P4 J# tFastZip2.0玩玩。

' r9 k: s+ T5 E+ a! Y9 cWordPerfect可以找Decrypt.
$ M* r( c# P+ f/ _/ F) Iexcel的用excrack
/ J( V# R% I$ M% a* \windows的Pwl文件。。呵呵。。用Glide.
http://www.iaehv.nl/users/rvdpeet/unrelate/glide.zip
9 a2 X* [5 Y7 A. i' ?Novell的用netcrack.
6 q, I! b. S0 vNt的用password NT　http://www.omna.com/yes/andyBaron/recovery.htm
, u6 c; A. D# i0 [.........
我想我是無法列盡這些東東的，不過可以說的是，沒有什么軟件能提供給你真正的安全保護。特別是當你上線的時候。。。
8 `' {1 G& p; G! c* V$ N
5 X5 {4 M" D/ `8 A" }感覺好象亂亂寫。。呵呵。。太多的關(guān)于密碼的東東了，我只是想說，不管你用什么系統(tǒng)，在Crack眼中，沒有什么安全性可言。
: F: ]; I" y( u6 B+ B" T# X
$ Y- ~2 h% x8 r! I- b
明天再整理如何在網(wǎng)絡中收集你想要的有關(guān)對方主機信息。談談host ,traceroute,rusers,finger 如何將你的主機信息告訴別人。并且告訴到什么程度。呵呵。。
) w# L" ~4 d4 N7 R/ e3 O( u2 ]
) l3 O0 I( N& P
7 F8 i# V5 s  a黑客技術(shù)(3)-Scanner

網(wǎng)絡安全上，最有名的我想莫過于Scanner了。。它是一個可以自動偵察系統(tǒng)安全的程序，大部分情況下，用來找出系統(tǒng)的安全弱點。通過對Tcp的ports和服務的偵察，然后將信息記錄下來，提供目標的安全分析報告，這是標準的scanner，象unix上的某些服務，如：host,rusers,finger等，只是半個scanner.完全發(fā)揮Scanner的功能要求使用者必須掌握相應的tcp,C,Perl,Socket的基本常識。關(guān)于socket可以從:http://147.17.36.24/prog/sockets.html得到詳細的設(shè)計說明。

那么Scanner到底會告訴你什么呢？其實他真的不告訴你什么，呵呵。。他只是將信息完整的記錄下來，做為一個系統(tǒng)管理員，會看出內(nèi)在的弱點才是要命的，因此，我不知道你通常是怎么做的，我是到這些地方去看信息的。

firewalls@greatcircle.com
1 {4 f6 E% v) ?sneakers@cs.yale.edu
5 `5 G5 x" o  I. k% {/ B  pwww-security@ns2.rutgers.edu
ntsecurity@iis
bugtraq@netspace.org
+ x% X" i" X2 G5 \0 U* K, H7 k' j
多了解這些信息對看出由scanner記錄的東東很由好處。

7 n2 R6 {2 N+ s6 V; i比如：finger root@server.com 后我得到這樣得信息：
5 k5 I: Z7 p: }* c$ r% c: n6 ylogin name: root in real life: 0000-Adim(0000)
$ x, h6 W% {) y- W( _! g4 R^^^^^^^^^^^^^^^
( N( O. p7 s$ w& x8 gDirectory: /shell: /sbin/sh
Last login tue Feb 18 19 04:05:58 1997;
3 {6 ]; `3 Z0 C2 d6 [4 WUnread since Web Feb.........
8 u: z% r$ a. T. r" K9 k% RNo Plan.
$ M) m5 T* C9 v6 a0 J
現(xiàn)在我起碼知道server.com這臺主機上跑Solaris.再用ftp或telnet我可以知道Solaris
的版本號，然后我可以知道那個版本的有什么Bugs, 分別是哪一級的，我如何做。。。。

可見，Scanner能找到網(wǎng)絡上的機器，找出機器的信息，提供某些人分析。
$ N4 l- @; j% l6 C( u
一個典型的例子：
0 e4 N0 \+ a9 t5 A( u3 k. X1995年，SGI賣出許多“WebForce”的機器，機器很不錯，多媒體功能很強，跑的是IRIX ,不幸的是，有個系統(tǒng)的內(nèi)置帳號“l(fā)p”不需要密碼。（本市有這樣的機器）好了，現(xiàn)在我想看看究竟是哪一臺，他的硬盤有些什么，我這樣做：

- h3 D  l2 n$ j+ @+ O1。我找到一個搜索引擎，查找“EZSetup + root: lp:” （老土的方法）
9 o# Q1 l$ v' d' o& f8 v& H或者，我用scanner.使用scanner的telnet對202.XXX.XXX.000到202.XXX.XXX.255
3 }6 _  ~* O# `  N8 i: ]( _全部進行telnet.傳回的信息象這樣：
# ^: t. o8 \6 p9 `. V3 J
, s3 R8 q5 C) p4 ]8 o# jTrying 202.XXX.XXX.XXX
Connected to ........
Escape Character is "]"

IRIX 4.1
7 B% j$ j8 h5 M& w* c. }3 vWelcome .........
& A; q3 q: k' Q* b6 WLogin:
% x8 D" B  _: d) |* B8 C
/ B( j# V: Q/ w- V. Z4 {2。我馬上離開了。。呵呵。。。。
& L( b9 o7 W$ N* v( `, o
想了解最后一個使用這個bug的人的ip地址，finger lp@the.sgi.box 這小子很牛。
% R- Y0 l# z" g" g5 N6 y$ V
# B) s4 K. c/ k- l3 E% Z% v$ `修改你的passwd 使其中一行這樣:lp:*:4:7:lp:/var/spool/lpd： 你的問題解決了。

在unix中，host執(zhí)行nslookup一樣的功能。但是，host是unix中最危險，最有
& U- W/ P; j% T2 l' W$ d' u威脅性的十大工具之一，（我認為）比如：
, o0 B0 J+ ]6 I0 f我host 某個大學。

7 `4 c. r/ p2 W9 D# P: Ahost -l -v -t any edu.cn
# D  l/ \* E( h1 u呵呵。。你會看到：
Found 1 addresses for XXX.XXX.edu.cn
Found 5 addresses for XXX.YYY.edu.cn
..
% Q6 g8 e3 g6 Q# `8 o3 V..
Trying 210.XXX.XXX.XXX
3 Y4 u* E3 L7 a8 n( {XXX.XXX.edu.cn 86400 IN SOA
; o: r! e3 w( ^9 o) s2 U961112121
/ m: ~& E: ]. f900
3 a5 M9 k3 \3 a900
  [4 j: H$ U) t2 \$ w1 l% M604800
! p7 h. i) q/ o/ U5 _0 a% p! V0 x5 e% ?86400
....
( Q6 h( O# M2 n( ?- X* S' T8 ?6 `: `XXX.YYY.edu.cn 86400 IN HINFO SUN-SPARCSTATION-10/41 UNIX
- [! M: f" y6 ~$ ^% }# X2 JXXX.ZZZ.edu.cn 86400 IN HINFO DEC-ALPHA-3000/300LX OSF1
$ {* [7 q5 X3 `! D, G....
XXX.xmu.edu.cn 86400 IN HINFO PC-PENTIUM DOS/WINDOWS
. X3 p. I  [2 p0 D. h! n....
一個將近120K的文件。
. M7 R: Z6 z4 I: v/ Q( @! l好了，現(xiàn)在我知道跑dec的機器可能有mount -d -s 的毛病。跑sun的機器可能有patch-ID#100376-01的問題。 跑windows 95 的機器可能有SMB協(xié)議，我可以用SAMBA來連上共享目錄。
# ]; _; V- L6 k' z% E
Rraceroute 同樣也是unix中的犀利工具，用來確定主機到底在什么地方。具體功能我不說了，他和rusers, finger一樣，提供一些看起來好象沒什么的資料，但是，你可以利用某些技巧來定位一個目標。
: h( s5 v* g& D, x) }2 q
還有一個命令shownount.他的-e參數(shù)可以提供某些目錄的bug出來。
類似的工具你可以參考這些：
netscan http://www.eskimo.com/~nwps/index.html
NetWork Toolbox http://wwwljriver.com/netbox.html
: D) k9 b% l! x6 A% z: HTcp/Ip Surveyor ftp://wuarchive.wustl.edu/systems/ibmpc/win95/netutil/wssrv32nz
ip

- q5 C5 K! ^+ z, ]3 l真正的Scanner:
NSS http://www.giga.or.at/pub/hacker/unix/
  c" m& b( l. p* P! fStrobe http://sunsite.kth.se/linux/system/network/admin/
* z/ I. o) J) E$ V6 t2 G- s2 v1 BSATAN http://www.fish.com
, s" ^% N  K+ HIdentTCPscan http://www.giga.or.at/pub/hacker/unix/ (這是我強力推薦的)
5 B: R8 E% F! ~Connect http://ww.giga.or.at/pub/hacker/unix/
5 q6 _$ P/ s7 D% ^
SafeSuite (強力推薦的軟件，由ISS發(fā)展小組開發(fā)）
Safesuite提供3個scanner,
Intranet scanner , Web scanner ,firewall scanner.
5 n4 f- e5 }% C) C, Q提供6個攻擊測試：
sendmail,ftp,nntp,telnet ,prc,nfs
如果你的主機通過了這個軟件，呵呵。。不要命的hacker可能會和你拼了。使用這個軟件，我很輕易的就發(fā)現(xiàn)了學校一臺主機的三個致命弱點。rlogin,ftp,httpd。每個都夠你使用root權(quán)限。

如何使用和到哪里去下載這個軟件我不太清楚，你可以到網(wǎng)上去找。

總之，我相信任何的系統(tǒng)都存在安全上的風險，對于想真正了解網(wǎng)絡安全的系統(tǒng)管理員，都應該從很細小的資料上注意起。并且應該時刻注意你所用的系統(tǒng)有沒有新的不安全因素出現(xiàn)在網(wǎng)上。
6 v9 m" Z2 _6 h# A
還想談的安全問題還有sniffer,trojans,fake ip,email bomb,system bugs,
: G" w5 ], T# |. k5 Z+ P/ Smicrosoft(oob 139,1031,80),some unix problem.(telnet,nfs..),hacker&cracker.
這些都是我長期收集的資料和實際操作中碰到的。所以只能是整理到哪里貼到哪里。當然，這些只是我的個人看法，能談到什么程度我不敢說，但是我希望能對關(guān)心網(wǎng)絡安全問題的人提供一些幫助。也希望大家一起來真正了解我們面對的機器能保存些什么秘密。
7 v/ }7 X5 c1 O5 c7 |7 R* ]

4 ^$ l3 _1 k  |$ O) o6 j黑客技術(shù)(4)-Windows和Nt

: M/ m0 g" `0 O/ dMicrosoft的安全問題一直是一個很敏感的問題，因為網(wǎng)絡上有太多的使用者了，在我收集的長達79頁的Microsoft技術(shù)規(guī)范說明中，談到安全問題的僅僅是一段“比以往的版本，在安全技術(shù)上有很大的改善”，顯然，Microsoft更關(guān)心的是有沒有人偷他的軟件去使用，而不是用戶在使用軟件時是否安全。那么，擺在眼前的就是：Microsoft從來就不是一個安全的平臺，即使是Nt系統(tǒng)，雖然Nt經(jīng)過了NSA的安全等級C2鑒定。但是，請注意以下的補充說明：
& ?$ p  o# S) ^) X0 H# _1 M8 o
1·C2在EPL中是很低的等級。
6 y) y' w8 P: t( w- [, d2·NT的C2只在某些硬件上才能達到，（Compaq Poliant 2000,DECpcAXP/150 Alpha）
3·NT的C2認證是假定在沒有網(wǎng)絡的情況下。

1 q" d: {. k0 e6 b3 p2 w+ b; \& Y2 s所以，在Microsoft的Windows產(chǎn)品中，基本的安全功能就相當?shù)娜狈?，所有密碼的功能基本是依賴一個PWL的文件，所以，了解這份文件，你也就了解了Windows的所謂的安全機制。
0 K! i$ s+ @- W" [  I+ S+ _! w. s
在Windows中，使用兩個函數(shù)來計算密碼：
/ T! |; _7 P- \1 k( T9 cWnetCachePassword( )
WnetGetGachedPassword( )
1 K. _+ q% S1 j! ^/ s
6 f. @# x4 @4 [
- E# ~% D( V) n% g如果你是一個軟件設(shè)計人員，那么你可以使用相同的這兩個函數(shù)來獲得使用者的密碼。但是，更簡單的方法是，你可以在Windows系統(tǒng)目錄下，直接刪除PWL文件，然后再以你的口令生成一個文件。
' Q" i$ Z7 ?+ b; P1 S! n詳細的說明你可以參考：http://199.44.114.223/rharri/tips.htm
5 j3 D8 d+ D$ a$ S/ w或者你可以到http://www.iaehv.nl/users/rvdpeet/unrelate/glide.zip下載這個軟件，
7 z+ G% z* W) G! W3 M7 T* v" H然后試試在你的機器上運行。
3 M$ }$ f; r& b8 G% h如何解決上述問題，你可以使用Fortres 101,在http://www.fortres.com/f101.htm

上面說的只是單機的情況，那么，如果你的機器在網(wǎng)絡上呢？

& D8 Y( q9 q/ {! A) m4 q' \這里有我一份在去年3月份的記錄。對在記錄中出現(xiàn)的任何機器，我很抱歉將你們列出來。
$ T$ D* |0 a& {, e+ U但是我保證沒有動改你們的硬盤。呵呵。。。。

2 d& Q: P, a' @% r1 N! {1997.3.27 xx:xx:xx
我從internet連線上學校的網(wǎng)絡，當時，我用了一個Scanner來掃描整個的網(wǎng)絡，
* w; w/ U. t, n* H3 L) C- N令人驚奇的是，我從結(jié)果窗口中看到了這樣的一些信息：
Win95client: littlesun
- e3 v$ U, N& Z3 L' R1 S/ O, xWin95client: tina&ryu
.....
$ D+ V8 k7 Y6 T+ \+ r' G  t! V.....
& P- J- `0 }- i% x: W3 s) S7 XWin95client: subtle
/ u  X- R1 f5 H4 _# l.....
WinNtServer: XXXXXX Domain:XXXXX_XX
.....

Ok, 接下來，我只是用網(wǎng)絡鄰居來打開某臺機器，然后，我立刻就發(fā)現(xiàn)了一些的共享目錄。其中的某些目錄你可以用"guest"來連上，到了這一步，如果你是一個別有用心的人，你會怎么做？我想象的做法應該是：
3 m( z9 ~, `4 |4 [8 h7 g' n
1. 到95的系統(tǒng)目錄下，下載所有的PWL文件。 （其中就有Administrator的）
2. 到我本機后，用glide在一秒中內(nèi)解出所有的密碼。
( q' q* B% B/ X9 [3. 然后我想，可能有某臺機器是連上NT服務器的系統(tǒng)管理員的工作平臺，這樣的話，
他不太可能使用兩個密碼來登錄Nt域和他本地的Win95系統(tǒng)，通常在服務器上的
Administrator和他在本地的Administrator用戶口令相同。
4. 于是，我可以用這個密碼來登錄發(fā)現(xiàn)的那一臺服務器，用administrator.

) H- o, D2 f. `$ K7 z) q! m0 ?. S7 _Ok, 脆弱的工作站連累了Nt服務器。這就是結(jié)果。
1 R) i7 ]" ?; P% h; x8 @9 b& F! [
出現(xiàn)這樣的安全問題，原因是什么？就是Windows采用的SMB協(xié)議所帶來的問題。
+ @2 v* f8 o5 u% I0 o  c
7 E+ C& l  q* Q) t# Z& qSMB(Server Message Block) ,Microsoft用這個協(xié)議來實現(xiàn)系統(tǒng)在網(wǎng)絡中的共享協(xié)定。
包括：文件，目錄，打印機，通訊口等。這個協(xié)議可以加在很多協(xié)議上跑，象Tcp/Ip,
) j3 {, M8 X* `5 Z: H+ ~NetBios,Ipx/spx

于是，hacker就可以使用telnetd透過SMB來或取windows,Nt的共享目錄，然后就可以：
9 `/ H7 k. s5 D, e$ K1. 使用SMB的clinet端送"dir ..\"給服務器，造成"denial-of-service"的攻擊。
2.使用SAMBA連上共享目錄。慢慢觀賞你的硬盤。呵呵。。。
: d6 ?6 o3 e5 s) g6 r
8 u/ o, k" I  @- V+ Y; d解決問題的方法是：不綁定SMB給Tcp/Ip.
( \0 x# y1 o; \: v' j去http://ftp.microsoft.com/developr/drg/cifs/中找詳細的SMB資料，然后到
6 r& t  a& Y% H0 K$ |* B) l# P" Vhttp://www.microsoft.com/kb/articles/q140/8/18.htm找一個SMB的patch.

, h$ o8 C0 a- [* }這只是nt系統(tǒng)中普遍存在的問題，實際上，根據(jù)我個人的看法，在一個Nt中，你起碼
! Y! q7 r) d7 X1 {5 C9 {7 V應該注意這些問題：

1.Port 80的遠程漏洞。
- W4 s1 {) @" z* T0 t" `Telnet到prot 80 ,發(fā)送這樣的命令：get ../..
; n# J& p" j- A' j" _. K# u' T! Wok ,Web服務器立即當?shù)簟?使用Service pack 1a,2來修復這個問題。
9 B% j1 ~( C& a* T& ^2. Denial-of-Service的攻擊。
到http://ntinternals.com/cpuhog.htm取cpuhog這個軟件，他使你的nt服務器
Cpu達到100%忙碌狀態(tài)，然后死掉。
3. port 135,1031的問題。
9 r  N! I, L# |4 w" h$ h- i" {( R$ @這個OOB的問題相信大家都知道，但是Microsoft對1031口存在的問題卻不太關(guān)心。
在1997年2月2日的Microsoft報告中就明顯指出這個問題，到現(xiàn)在還沒有有效的解決方法。
4. 對DNS-Denial的攻擊，使用Service Pack 3來修復。
$ A7 T( m; U6 B5. 通常hacker會用的由nbtstat來查詢機器名稱，放入lmhosts文件后，對網(wǎng)絡查詢
來得到共享目錄，使用者信息，等。。。。

這些是我個人對使用Nt的看法，當然，如果你有更好的建議，你可以發(fā)E-mail給我。
. m% B5 g. ]. n* T, ]3 G
再談談nt的密碼問題，Nt的密碼采用和95不同的機制來實現(xiàn)。在Nt中，使用的安全模型是DAC ( Discretionary Access Control ).你可以從這個網(wǎng)址得到完整的參考：
; n# D7 k* }4 w) nhttp://www.v-one.com/newpages/obook.html
而DAC的實現(xiàn)有賴于NTFS,所以，請你在安裝Nt時，選用NTFS選項。
但是，不要以為NTFS能帶給你100%的安全，到這個地址：
http://www.hidata.com/guest/nthacks/passworddll.htm
) `8 C3 }$ `9 [- j3 M* f你可以得到一個工具。呵呵。。你自己用用看。

0 L; ]& |! q% f7 r這里我想列出一些可能對你管理nt服務器有用的工具，它們可以用來找出你系統(tǒng)的弱點，
4 {! {4 r! }& W* c* k! Q0 Q8 x或者防范網(wǎng)絡hacker的攻擊：
scanNT: http://www.omna.com/yes/andybaron/pk.htm
Systems Management Server : http://www.microsoft.com/smsmgmt/revgd/sms00.htm
Dump ACL: http://www.net-shopper.co.uk/software/nt/dmpacl/index.htm
$ L3 r$ V. Z& s$ B2 \

( N: E! |4 p3 t上述是我對Microsoft的操作系統(tǒng)安全問題的看法，實際上，有些問題并不只是在windows或nt中，在Microsoft的dos, winword, access,excel ,front page webserver ,o'reilly website server等產(chǎn)品中，都有不少的安全弱點。
體力所限，我無法完全列出，有興趣可以和我直接聯(lián)系。
& C) _2 l# H3 F3 ]' U7 Y7 C$ S3 k2 C
1 G* V' ^6 K- b! S( X+ [
) V/ F2 l: s8 X* y1 N5 U黑客技術(shù)(5)-Sniffer
+ M+ r6 h# [4 v9 X7 o( ]+ L  G
5 j- ~! |8 t# k, N/ c0 Z4 C( gSniffer
( Y! V7 R8 p% C8 E! T+ Z- u/ `了解什么是Sniffer之前,我想先說說網(wǎng)絡的基本構(gòu)成，通常的網(wǎng)絡看起來
是這樣的：
$ o& D* t( o6 j* d! q4 n一個控制軟件的控制臺（可以是pc機、工作站等）
一套用來控制網(wǎng)絡硬件的軟件
一個支持Ethernet封包的網(wǎng)絡控制卡
一條用來使封包從這里流到那里的傳輸設(shè)備
另一套和上述相同設(shè)備的硬件、軟件。
可見，這其中的一個關(guān)鍵環(huán)節(jié)是封包如何在網(wǎng)上跑，當然，可以用tcp/ip、ipx等。?；蚴嵌鄠€的組合，那么，Sniffer的目的就是將整個的網(wǎng)絡界面變成不區(qū)分的狀態(tài)，然后再截取網(wǎng)絡上的封包。傳統(tǒng)上的Sniffer可以是硬件或軟件或硬件和軟件的結(jié)合。由于Ethernet的工作方式，網(wǎng)絡請求在網(wǎng)上一般以廣播的方式傳送，這個廣播是非驗證的，也就是每個nodes都可以收到，除了目標接受者會回應這個信息外，其他的接受者會忽略這個廣播。Sniffer就是一個專門收集廣播而決不回應的東東。 由于sniffer是工作在封包這一級的產(chǎn)品，因而，它對網(wǎng)絡的安全威脅是相當大的，因為它可以：
) N9 }. ]* R9 }# m1 n
1。抓到正在傳輸?shù)拿艽a。
2。抓到別人的秘密（信用卡號）或不想共享的資料。
3。可以通過管理員封包破解相互信任的系統(tǒng)域。
# L  _3 E$ U9 \. ~5 H7 w+ d" I
4 d$ L/ J  w3 N可見，通常的安全分析將sniffer放在第二級的攻擊不是沒道理的，如果你在你管理的網(wǎng)絡中發(fā)現(xiàn)了sniffer, 那么它代表的是有個cracker已經(jīng)進入你的網(wǎng)絡了，并且正在收集使用者的id和密碼?，F(xiàn)在我想你可能已經(jīng)知道sniffer的工作原理了，如果你想多了解它攻擊目標后會如何，請參考：
$ E8 v: l3 F; f- d4 ^http://yahi.csustan.edu/studnotw.html
: K5 S( W3 [4 chttp://www.securitymanagement.com/library/000215.html
% S% J* j4 y' z$ a$ V. _（美國陸軍導彈研究中心和Whist Sands導彈發(fā)射基地事件）
7 `+ e9 _# y$ n! t' T0 U' `# h
在中國，我沒有收集到可靠的sniffer攻擊的例子，但是，可以肯定的是，有人在廣州網(wǎng)易上這樣做過，但是我沒有證據(jù)來說明。（請注意如果有人在你的網(wǎng)絡上放sniffer，你的封包傳送丟失的機會將大增）。

* m5 b, d; s& A( O# Z) j那么如何得到一個sniffer來研究研究呢？ 在ms-dos平臺上有個杰出的sniffer
:Gobbler
你可以到這里找到它：
: g+ v& U9 p. c4 C- I( _http://www.cse.rmit.edu.au/~rdssc/courses/ds738/watt/other/gobbler.zip
/ n- ]$ m7 K/ B6 j2 kftp://ftp.mzt.hr/pub/tools/pc/sniffers/gobbler/gobbler.zip
它可以在pc上執(zhí)行，并且只分析區(qū)域內(nèi)的封包，還可以設(shè)定只分析每個封包的前200到300個字節(jié)，這其中包含了用戶名稱和密碼，通常，Cracker要這些就可以了。（這一點很重要，想象一下，如何沒有節(jié)制的收集封包，幾分鐘內(nèi)，你的硬盤就可能放不下任何文件了），還有，我個人認為很重要的一點，Gobbler可以很輕易的看到每個封包從哪里來，要到哪里去，我覺得這起碼使我的工作變的很有針對性。
- i" q! o  q8 c: Z6 C  g# a
還有一個 C 的sniffer, Ethload.一個相當完整的sniffer.它可以在這些協(xié)議
0 ^" N) |; u5 p6 i- l* v上跑：
Novell odi
2Com/Microsoft Protocol Manager
PC/TCP/Clarkson/Crynwr
可以分析這些封包：
Tcp/Ip
9 _6 q8 K0 S" S4 jDECnet
OSI
$ m& `* D: G$ d0 u) oXNS
Netware
NetEBUI
你可以到這些地方下載：
ftp://oak.oakland.edu/simtel/msdos/lan/ethld104.zip
$ e% A: g& A6 _( ihttp://wwww.med.ucalgary.ca:70/1/ftp/dos/regular
$ G) T4 U" I/ k& Z& e0 b4 ]
Netman : http://www.cs.curtin.edu.au/~netman/
這是一個可以在X-windows中執(zhí)行的sniffer.可我覺得這個功能不太可能用上，試想一下，如果有個Cracker在你的網(wǎng)絡中執(zhí)行X-windows而你不知道，呵呵。。。那我覺得，你的問題比被別人放sniffer更粗。

Esniff.c 這是一個專門用來收集Sun平臺的封包流量的產(chǎn)品。原始的C代碼只抓取封包的開始部分，（使用者id和密碼）。你可以將它修改成抓取其他信息。
8 Z0 F7 \6 B4 {8 E* b& o可以從這里下載這個C代碼：
http://pokey.nswc.navy.mil/docs/progs/ensnif.txt
7 y2 b2 J9 q7 F3 _ftp.infonexus.com
其他的sniffer產(chǎn)品包括：
+ N. R0 K; A$ U; wSunsniff : http://mygale.mygale.org/08/datskewl/elite
% m8 C/ K0 M4 }/ j% whttp://hacked-inhabitants.com/warez/sunsniff.c
( b6 [" U8 K; y8 I+ P1 ^Linux_sniffer.c
/ T1 e  q$ h( }/ ?, j2 m! z+ ]http://mygale.mygale.org/08/datskewl/elite
1 ^7 y, E4 [2 C1 rNitwit.c （在你使用之前，提醒你先看一遍源程序）
www.catch22.com/twilight.net/phuncent/hacking/proggies/sni
ffers/nitwit.c
6 \% n+ |/ h$ a& x$ s/ W& |( w
Ok.現(xiàn)在我們都知道了什么是sniffer, 從哪里你可以得到sniffer, 那么，我如何知道我的網(wǎng)絡有沒有被裝上sniffer呢？ 理論上的答案是：沒有辦法。這也是為什么我們說sniffer的危險程度相當高的原因之一，因為它太安靜了。換句話說，它不在你的系統(tǒng)中留下什么。并且你不知道它在你網(wǎng)絡的哪個地方跑。
8 T7 K4 i' r' E兩種建議的方法：
6 i$ K1 b' N5 e( K) J* Z/ y1。列出當前在你機器上的所有進程。使用dos,windows,win95的用戶可能有問題。但是Nt和Unix用戶可以很容易。注意在Unix下，我通常的做法是：

想辦法將ps放入一只特洛伊木馬，（如果有權(quán)限的話）當別人使用ps -augx時，先kill我的sniffer進程。
9 Q! m0 r% M9 W3 a3 C( T
所以，請你用root path中的ps.

, R- X$ Z, r. R1 S0 W& N. X2。直接去找sniffer.因為網(wǎng)上也就那么20來種sniffer,大多數(shù)cracker不會自己去花時間專門為你的網(wǎng)絡寫個sniffer（除非你每次在物理食堂吃的比他好很多），但是，如果他真的寫了，呵呵。。你最好花幾個小時來檢查你的目錄的一致性。如果你使用Unix ,你最好先和你女朋友打聲招呼。
; ^$ O! N2 g. {' S
+ E5 N# K# f. u那么假設(shè)很不幸的，你花了幾個小時后，你得出了結(jié)論：我的網(wǎng)絡被放了一個sniffer。我要怎么辦？
通常我一定要先停止網(wǎng)絡運行。然后，我考慮一個能加密封包的產(chǎn)品。SSH和f-SSH，這個產(chǎn)品使用ports 22，用RSA來計算連線的封包?？上У氖牵惚仨毥心愕挠脩袅晳T這個產(chǎn)品，雖然SSH有免費的版本在網(wǎng)上等你。(win95,Unix 的都有。）
$ Y) |. K; B7 K  U  B% k( h0 U& `
3 F0 I/ B6 m, r8 l第二：我考慮重新架構(gòu)我的網(wǎng)絡，但是要花很多錢。（可以用Bridge或路由重新分割網(wǎng)絡，重新考慮信任域等。。）重新架構(gòu)網(wǎng)絡超過我的討論范圍。

建議你不要只考慮火墻，因為火墻是給hacker破解用的。就好象shadow密碼一樣。在NIS中，shadow依然是個BUG.

最后說明一點：使用sniffer不那么單純，要具備一定的網(wǎng)絡知識才能真正使
用它來獲取你想要的信息。（否則，它會幫你收集一大把垃圾的）因為它要
6 f& n! f  V1 G- ^, _9 C  {( W* a" f; u工作的環(huán)境是很底層的網(wǎng)絡界面。

! J% v; N2 z, O& _3 T黑客技術(shù)(6)- 再議 Sniffer
7 I7 r1 i: Z: t1 l0 G; f
停了很久沒有再寫了，近來有太多的人在提級sniffer , 我發(fā)現(xiàn)還是有很多人對sniffer
8 `: ]' T# N5 s  F% z! ~8 q這個概念很模糊，所以想再說一下Sniffer. 所說全是個人觀點，歡迎指正。
6 J, A& P$ t. I

; V  @& Z% d7 x& Y3 [. S6 s8 c- Isniffing 和 spoofing 一樣是作用在網(wǎng)絡基礎(chǔ)結(jié)構(gòu)的底層。通常情況下，用戶并不直
& C2 v! u! |6 [( X2 L8 m" O接和該層打交道，有些甚至不知道有這一層存在，呵呵。他們只是用ftp.http.telnet
.email 等，所以，應該說snffer的危害是相當之大的，通常使用sniffer 是一
" }+ ^/ Z  v* L3 }# V5 X次spoofing的開始。
( q* J# J/ e* R" q; A$ C* i
# K7 D, h4 T1 ^: d) D1 c那么到底sniffer是怎樣的一種概念呢？
# C1 y) ]# i' W9 x" L
& \4 |$ u. U* osniffer 是利用計算機的網(wǎng)絡接口截獲目的地為其他計算機的數(shù)據(jù)報文的一種工具。
(ISS)
6 W2 s5 b+ v2 ^- H" S; r
在合理的網(wǎng)絡中，sniffer的存在對系統(tǒng)管理員是致關(guān)重要的，系統(tǒng)管理員通過sniffer可以診斷出大量的不可見模糊問題，這些問題涉及兩臺乃至多臺計算機之間的異常通訊有些甚至牽涉到各種的協(xié)議，借助于sniffer %2C系統(tǒng)管理員可以方便的確定出多少的通訊量屬于哪個網(wǎng)絡協(xié)議、占主要通訊協(xié)議的主機是哪一臺、大多數(shù)通訊目的地是哪臺主 機、報文發(fā)送占用多少時間、或著相互主機的報文傳送間隔時間等等，這些信息為管理員判斷網(wǎng)絡問題、管理網(wǎng)絡區(qū)域提供了非常寶貴的信息。但是，同時，如果有心之人（非系統(tǒng)管理員）使用了sniffer ,那么，他同樣也可以獲得和管理員一樣多的信息，同樣也可以對整個的網(wǎng)絡做出判斷。當然，SPP相信他不會用這些信息去管理網(wǎng)絡。

現(xiàn)在網(wǎng)絡上到處可見免費的sniffer , 各種平臺下的都有，我真不知道，這對管理員來說是好事還是壞事。（參看上一篇關(guān)于sniffer的文章，你可以知道現(xiàn)在找個sniffer多容易）

話說回來，那么sniffer是如何在網(wǎng)絡上實施的呢？
談這個問題之前還應該先說一下Ethernet的通訊. 通常在同一個網(wǎng)段的所有網(wǎng)絡接口都有訪問在物理媒體上傳輸?shù)乃袛?shù)據(jù)的能力，而每個網(wǎng)絡接口都還應該有一個硬件地址，該硬件地址不同于網(wǎng)絡中存在的其他網(wǎng)絡接口的硬件地址，同時，每個網(wǎng)絡至少還要一個廣播地址。（代表所有的接口地址），在正常情況下，一個合法的網(wǎng)絡接口應該只響應這樣的兩種數(shù)據(jù)幀：

1、幀的目標區(qū)域具有和本地網(wǎng)絡接口相匹配的硬件地址。
2、幀的目標區(qū)域具有“廣播地址”。

" F, Y. j6 s- J- e. v4 V在接受到上面兩種情況的數(shù)據(jù)包時，nc通過cpu產(chǎn)生一個硬件中斷，該中斷能引起操作
2 e) s+ G) F2 d7 g3 Y系統(tǒng)注意，然后將幀中所包含的數(shù)據(jù)傳送給系統(tǒng)進一步處理。

而sniffer 就是一種能將本地nc狀態(tài)設(shè)成（promiscuous）狀態(tài)的軟件，當nc處于這種
% B* {3 t1 [# T. b) `. c% Z, Q“混雜”方式時，該nc具備“廣播地址”，它對所有遭遇到的每一個幀都產(chǎn)生一個硬件
中斷以便提醒操作系統(tǒng)處理流經(jīng)該物理媒體上的每一個報文包。
（絕大多數(shù)的nc具備置成promiscuous方式的能力）


可見，sniffer工作在網(wǎng)絡環(huán)境中的底層，它會攔截所有的正在網(wǎng)絡上傳送的數(shù)據(jù)，并
且通過相應的軟件處理，可以實時分析這些數(shù)據(jù)的內(nèi)容，進而分析所處的網(wǎng)絡狀態(tài)和整
體布局。值得注意的是：sniffer是極其安靜的，它是一種消極的安全攻擊。
4 e$ j  U2 o1 v% @
  @! k6 ^4 e. ]
通常sniffer所要關(guān)心的內(nèi)容可以分成這樣幾類：

, m$ I/ A6 Y0 z; l; `6 w8 }1、口令
: O$ S7 I1 X. ]. z6 f# @我想這是絕大多數(shù)非法使用sniffer的理由，sniffer可以記錄到明文傳送的userid 和
passwd.就算你在網(wǎng)絡傳送過程中使用了加密的數(shù)據(jù)，sniffer記錄的數(shù)據(jù)一樣有可能使
入侵者在家里邊吃肉串邊想辦法算出你的算法。
( P, G1 A  y/ \: i
1 E" p% G: L" Z/ \; \2、金融帳號
5 S" {8 K2 I* l5 ~% V1 b許多用戶很放心在網(wǎng)上使用自己的信用卡或現(xiàn)金帳號，然而 sniffer可以很輕松截獲在網(wǎng)
2 I& E5 ~9 d; c% @上傳送的用戶姓名、口令、信用卡號碼、截止日期、帳號和pin.
. u6 z$ J& |! R( J0 \
: `( s, }( O4 t5 Q! e3、偷窺機密或敏感的信息數(shù)據(jù)
' K) I4 f- f& w8 C3 ^$ u通過攔截數(shù)據(jù)包，入侵者可以很方便記錄別人之間敏感的信息傳送，或者干脆攔截整個的
email會話過程。
, P6 {# A  y9 f' L6 ^* S! n
4、窺探低級的協(xié)議信息。
這是很可怕的事，我認為，通過對底層的信息協(xié)議記錄，比如記錄兩臺主機之間的網(wǎng)絡接口地址、遠程網(wǎng)絡接口ip地址、ip路由信息和tcp連接的字節(jié)順序號碼等。這些信息由非法入侵的人掌握后將對網(wǎng)絡安全構(gòu)成極大的危害，通常有人用sniffer收集這些信息只有一個原因：他正在進行一次欺詐，（通常的 ip 地址欺詐就要求你準確插入tcp連接的字節(jié)順序號,這將在以后整理的文章中指出） 如果某人很關(guān)心這個問題，那么sniffer對他來說只是前奏，今后的問題要大條得多。（對于高級的hacker而言，我想這是使用sniffer的唯一理由吧）
  o& q2 ]# d; j5 A
那么，通過交換設(shè)備（網(wǎng)橋、交換機、路由等）所形成的網(wǎng)絡邊界是否可以有sniffer存在的空間呢？ 我想這是一個有趣的問題。能形成網(wǎng)絡邊界的交換設(shè)備并不是把來自一邊的所有的幀都丟到另一邊的。他們通常允許某些報文通過邊界而阻止某些報文（特別是網(wǎng)絡廣播）通過邊界。因此從理論上講，通過交換設(shè)備對網(wǎng)絡進行分段后，sniffer將無法透過邊界而窺探另一邊的數(shù)據(jù)包。但是，請注意：這是在邊界設(shè)備不轉(zhuǎn)發(fā)廣播包的情況下（這也是通常的網(wǎng)絡情況）。一旦入侵者使用spoofer 誘騙某個邊界設(shè)備而將自己的廣播包流入不該進入的網(wǎng)段后，原理上還是在一個共享設(shè)備端使用sniffer 而實際上將是聽到了邊界的另一邊。（詳細的spoofer應用我會再整理出來）當然，這樣會牽涉到ip 欺詐和Mac欺詐的問題，然而，你別忘了，sniffer和spoofer是很少分開來 的。
; c3 R7 T/ u, V: i  ~
3 H$ Z# _- x+ z" g既然sniffer如此囂張又安靜，我要如何才知道有沒有sniffer在我的網(wǎng)上跑呢？這也是一個很難說明的問題，比較有說服力的理由證明你的網(wǎng)絡有sniffer目前有這么兩條：
% w! D# c" [+ C+ p. u1 T
9 T. g  m5 O' }* l) c+ c$ Y1、你的網(wǎng)絡通訊掉包率反常的高。
通過一些網(wǎng)絡軟件，你可以看到你的信息包傳送情況（不是sniffer），向ping這樣的命令會告訴你掉了百分幾的包。如果網(wǎng)絡中有人在聽，那么你的信息包傳送將無法每次都順暢的流到你的目的地。（這是由于sniffer攔截每個包導致的）

6 L3 Y+ \& }" `  b. `' F6 m9 _2、你的網(wǎng)絡帶寬將出現(xiàn)反常。
通過某些帶寬控制器（通常是火墻所帶），你可以實時看到目前網(wǎng)絡帶寬的分布情況，如果某臺機器長時間的占用了較大的帶寬，這臺機器就有可能在聽。實際操作中，我還發(fā)現(xiàn)，如果某臺機器（非服務器）在不該使用廣播的網(wǎng)絡中使用了ICMP 類型10 、11、9等這一類的廣播，呵呵。。有可能。。。非常有可能。。。如果同時出現(xiàn)udp520口的rip廣播。呵呵。。那就百分之N接近。。。。。

在非高速信道上，如56K ddn 等，如果網(wǎng)絡中存在sniffer ,你應該也可以察覺出網(wǎng)絡通訊速度的變化。
0 g7 a+ d7 G) G; [2 |

) F7 @( E* o' w; G0 F最后再說明的是，并不是使用了交換設(shè)備就可以完全阻止sniffer , 如果系統(tǒng)管理員錯誤的使用了網(wǎng)絡的拓撲結(jié)構(gòu)，比如，工作站或終端通過某個集連設(shè)備集中到交換集線器，然后通過路由再進入主機群。這樣的布線表面看來好象有物理上的分割，但實際上，從邏輯的觀點，任何一臺機器的數(shù)據(jù)除了到達主機外，還同時流向別的機器。任何一臺機器都有可能架個sniffer 來監(jiān)控從本地網(wǎng)絡流向主機的所有數(shù)據(jù)。安全的布線應該是從各終端就使用交換設(shè)備。（在沒有spoofer的情況下）

, U# I6 o" H9 U! H3 a
" M! d! g# w' d& R6 O* y: h. x: l黑客技術(shù)(7)- ARP欺騙

2 H+ e4 k# F5 N1 @5 q+ q. jARP 欺騙技術(shù)

* }- `$ Q! U$ T2 k+ M本來不打算寫這接下的一系列討論欺騙的文章（計劃中有arp欺騙、icmp欺騙、路由rip欺騙、ip地址欺騙等），這主要是自己有些擔心有些人會給網(wǎng)管增加日常工作量，但是想想還是寫的好，因為通常在你猛打完補丁后，你可能覺得你的系統(tǒng)安全了，但是，實際上，打補丁只是安全措施里的一個很基本的步驟而已，通常一個hacker要進入你的系統(tǒng)，他所要做的并不是你打補丁就可以避免的，象這些欺騙都要求你必須掌握相當?shù)木W(wǎng)絡底層知識和合理安排物理布線
才可阻止得了的。特別是多種手法混用的時候，特別要說明的是：有些人往往以為會使用某些工具入侵就覺得自己是個hacker， 呵呵。。其實，我認為這只是入門而已（有些是連門都找不到），通過本文，我想讓人們知道，一個hacker在真正入侵系統(tǒng)時，他并不是依靠別人寫的什么軟件的。更多是靠對系統(tǒng)和網(wǎng)絡的深入了解來達到這個目的。

( Q0 c% g6 ]% O我想我會盡可能將我知道的寫出來，同時也將盡可能把防止欺騙的解決辦法寫出來，當然，這只是我知道的而已，如果有失誤的地方，歡迎指正。 呵呵。。

4 L# h3 ?" r3 A) Q1 V2 i. [
, M1 r: f6 y! C; H+ _+ w5 V1 D+ f首先還是得說一下什么是 ARP ，如果你在UNIX Shell下輸入 arp -a
% m% Q- {' v4 D(9x下也是），你的輸出看起來應該是這樣的：
* ]& D/ g! R: P( q5 J$ B) _
Interface: xxx.xxx.xxx.xxx

Internet Address Physical Address Type
4 H2 W3 ?3 b4 |) P  N/ e& l* n+ ~xxx.xxx.xxx.xxx 00-00-93-64-48-d2 dynamic
/ b. F4 j& I2 _xxx.xxx.xxx.xxx 00-00-b4-52-43-10 dynamic
...... ......... ....

這里第一列顯示的是ip地址，第二列顯示的是和ip地址對應的網(wǎng)絡接口卡的硬件地址（MAC），第三列是該ip和mac的對應關(guān)系類型。

可見，arp是一種將ip轉(zhuǎn)化成以ip對應的網(wǎng)卡的物理地址的一種協(xié)議，或者說ARP協(xié)議是一種將ip地址轉(zhuǎn)化成MAC地址的一種協(xié)議，它靠維持在內(nèi)存中保存的一張表來使ip得以在網(wǎng)絡上被目標機器應答。

! C! h" ^1 h5 s( I為什么要將ip轉(zhuǎn)化成mac 呢？ 呵呵。。解釋下去太多了，簡單的說，這是因為在tcp網(wǎng)絡環(huán)境下，一個ip包走到哪里，要怎么走是靠路由表定義，但是，當ip包到達該網(wǎng)絡后，哪臺機器響應這個ip包卻是靠該ip包中所包含的mac地址來識別，也就是說，只有mac地址和該ip包中的mac地址相同的機器才會應答這個ip包（好象很多余，呵呵。。），因為在網(wǎng)絡中，每一臺主機都會有發(fā)送ip包的時候，所以，在每臺主機的內(nèi)存中，都有一個 arp--> mac 的轉(zhuǎn)換表。通常是動態(tài)的轉(zhuǎn) 換表（注意在路由中，該arp表可以被設(shè)置成靜態(tài)）。也就是說，該對應表會被
" k4 Z8 ]' U* v7 J9 q- R! l主機在需要的時候刷新。這是由于乙太網(wǎng)在子網(wǎng)層上的傳輸是靠48位的mac地址而決定的。

7 w* _  f, t. c1 |/ o4 J通常主機在發(fā)送一個ip包之前，它要到該轉(zhuǎn)換表中尋找和ip包對應的mac地址，如果沒有找到，該主機就發(fā)送一個ARP廣播包，看起來象這樣子：
7 I. ^. ]/ r2 @& Q4 o( \1 F
! S5 y& V/ w/ h5 X“我是主機xxx.xxx.xxx.xxx , mac是xxxxxxxxxxx ,ip為xxx.xxx.xxx.xx1的
- j* A) f! {+ k5 m1 y5 @主機請報上你的mac來”
% B" k" Q  ^/ z9 a; F: G
ip為xxx.xxx.xxx.xx1的主機響應這個廣播，應答ARP廣播為：
+ M" e# G$ D5 n
% o7 Z! b8 r9 g: I“我是xxx.xxx.xxx.xx1,我的mac為xxxxxxxxxx2”

于是，主機刷新自己的ARP緩存。然后發(fā)出該ip包。

了解這些常識后，現(xiàn)在就可以談在網(wǎng)絡中如何實現(xiàn)ARP欺騙了，可以看看這樣一個例子：
6 X% T; I4 d; C) }& L# }9 c" k& o
) T; m, G& _4 `' _5 M, C  \, |0 t一個入侵者想非法進入某臺主機，他知道這臺主機的火墻只對192.0.0.3(假設(shè))這個ip開放23口(telnet),而他必須要使用telnet來進入這臺主機，所以他要這么做：
1、他先研究192.0.0.3這臺主機，發(fā)現(xiàn)這臺95的機器使用一個oob就可以讓他
死掉。
2、于是，他送一個洪水包給192.0.0.3的139口，于是，該機器應包而死。
3、這時，主機發(fā)到192.0.0.3的ip包將無法被機器應答，系統(tǒng)開始更新自己的
% f+ w5 l* ~  e$ Barp對應表。將192.0.0.3的項目搽去。
, ?! z5 O1 W3 L8 r; m4、這段時間里，入侵者把自己的ip改成192.0.0.3
5、他發(fā)一個ping(icmp 0)給主機，要求主機更新主機的arp轉(zhuǎn)換表。
. N5 c5 F. H+ u3 C7 n! _2 z( c6、主機找到該ip，然后在arp表中加如新的ip-->mac對應關(guān)系。
1 }' G9 @% @! q$ o3 o( o) ]7、火墻失效了，入侵的ip變成合法的mac地址，可以telnet 了。
& I& C( t3 [+ R- }. t/ _; q- V1 f
+ t9 g8 v; z* P' g) A2 _(好象很羅嗦，呵呵。。不過這是很典型的例子)
/ T& {2 c8 d4 F: b& a0 _. q, C
現(xiàn)在，假如該主機不只提供telnet , 它還提供r命令（rsh,rcopy,rlogin等）那么，所有的安全約定將無效，入侵者可以放心的使用這臺主機的資源而不用擔心被記錄什么。

0 g/ G3 t8 S/ c1 s; E# C4 ^0 Y有人也許會說，這其實就是冒用ip嘛。。呵呵。。不錯，是冒用了ip,但決不是ip欺騙，ip欺騙的原理比這要復雜的多，實現(xiàn)的機理也完全不一樣。

# l  _. \9 R& V上面就是一個ARP的欺騙過程，這是在同網(wǎng)段發(fā)生的情況，但是，提醒注意的是，利用交換集線器或網(wǎng)橋是無法阻止ARP欺騙的，只有路由分段是有效的阻止手段。（也就是ip包必須經(jīng)過路由轉(zhuǎn)發(fā)。在有路由轉(zhuǎn)發(fā)的情況下，ARP欺騙如配合ICMP欺騙將對網(wǎng)絡造成極大的危害，從某種角度將，入侵者可以跨過路由監(jiān)聽網(wǎng)絡中任何兩點的通訊,如果有裝火墻，請注意火墻有沒有提示過類似：某某IP是局域IP但從某某路由來等這樣的信息。詳細實施以后會討論到。）

在有路由轉(zhuǎn)發(fā)的情況下，發(fā)送到達路由的ip的主機其arp對應表中，ip的對應值是路由的mac。
比如:
- d7 u" U' Z  q$ D% S( @我 ping www.nease.net 后，那么在我主機中，www.nease.net的IP對應項不是nease的mac 而是我路由的mac。其ip也是我路由的IP.(有些網(wǎng)絡軟件通過交換路由ARP可以得到遠程IP的MAC)

1 m! t0 M' `" Z6 ]  N; S3 |' ^有興趣做深入一步的朋友可以考慮這樣一種情況：
# T% x! Y1 b0 h% X+ a8 f! }
假設(shè)這個入侵者很不幸的從化學食堂出來后摔了一跤，突然想到：我要經(jīng)過一個路由才可以走到那臺有火墻的主機?。?！ ^^^^

; `) A$ p0 `2 ]$ Q于是這個不幸的入侵者開始坐下來痛苦的思考：

' ^! m) |0 g7 Y# z' K1、我的機器可以進入那個網(wǎng)段，但是，不是用192.0.0.3的IP
/ J! ]( c% R  n( }6 X2 C; p- B2、如果我用那個IP，就算那臺正版192.0.0.3的機器死了，那個網(wǎng)絡里的機器也不會把ip包丟到路由傳給我。
6 D( ~& Y- w. E9 W3、所以，我要騙主機把ip包丟到路由。

通過多種欺騙手法可以達到這個目的。所以他開始這樣做：
1 E0 B/ B. X2 o, y2 @
: k) q6 h7 f( F( Z9 ]4 E2 a# C1、為了使自己發(fā)出的非法ip包能在網(wǎng)絡上活久一點，他開始修改ttl為下面的過程中可能帶來的問題做準備。他把ttl改成255.(ttl定義一個ip包如果在網(wǎng)絡上到不了主機后，在網(wǎng)絡上能存活的時間，改長一點在本例中有利于做充足的廣播)
2、他從貼身口袋中掏出一張軟盤，這張有體溫的軟盤中有他以前用sniffer時保存的各種ip包類型。
4 R+ ?9 s, l( h  D* Y/ `, k2 ]9 x6 x3、他用一個合法的ip進入網(wǎng)絡，然后和上面一樣，發(fā)個洪水包讓正版的192.0.0.3死掉，然后他用192.0.0.3進入網(wǎng)絡。
) [% m+ q2 b; N8 L( R4、在該網(wǎng)絡的主機找不到原來的192.0.0.3的mac后，將更新自己的ARP對應表。于是他趕緊修改軟盤中的有關(guān)ARP廣播包的數(shù)據(jù)，然后對網(wǎng)絡廣播說“能響應ip為192.0.0.3的mac 是我”。
& `4 f' f) H% h& i" Q7 U5、好了，現(xiàn)在每臺主機都知道了，一個新的MAC地址對應ip 192.0.0.3,一個ARP欺騙完成了，但是，每臺主機都只會在局域網(wǎng)中找這個地址而根本就不會把發(fā)送給192.0.0.3的ip包丟給路由。于是他還得構(gòu)造一個ICMP的重定向廣播。6、他開始再修改軟盤中的有關(guān)ICMP廣播包的數(shù)據(jù)，然后發(fā)送這個包，告訴網(wǎng)絡中的主機：“到192.0.0.3的路由最短路徑不是局域網(wǎng)，而是路由，請主機重定向你們的路由路徑，把所有到192.0.0.3的ip包丟給路由哦。”
* t% R. N+ b6 ?% E7、主機接受這個合理的ICMP重定向，于是修改自己的路由路徑，把對192.0.0.3 的ip通訊都丟給路由器。
8、不幸的入侵者終于可以在路由外收到來自路由內(nèi)的主機的ip包了，他可以開始telnet到主機的23口，用ip 192.0.0.3.
9、這個入侵者一把沖出芙蓉一（229），對著樓下來往的女生喊到：“一二一。。”
9 f* l  r6 g* K7 N- @' M8 k
呵呵。。他完成了。
& E8 ?- z8 F0 [: O6 x注意，這只是一個典型的例子，在實際操作中要考慮的問題還不只這些。
& Z8 Z3 [6 G/ z- u
現(xiàn)在想想，如果他要用的是sniffer會怎樣？
6 y# _1 V( u' u
假如這個入侵者實在是倒霉 （因為喊“一二一。。”而被女生痛毆），當他從地上爬起來后突然發(fā)現(xiàn)：其實我要經(jīng)過好幾個路由才可以到那臺主機啊。。。。。
: X! u( W/ }3 `6 N2 A  K這時他要怎么做？
' q3 Z+ J9 Q' s6 g$ g% v) E6 {. ?& J3 L
) r8 D3 `5 C2 Z/ V8 }呵呵。。。有興趣做更深入了解的朋友可以自己構(gòu)思。通常入侵者是這樣做的：
1、苦思冥想六天六夜。。。。。
* M( _( y- _0 J1 f! Z1 N0 q2 M.
# v9 V4 Q: g9 U9 G  z% u.
8 O7 ~+ R5 P- D.
" f, K* X7 ?6 A1 g6 M  oN、一把沖出芙蓉一（229），狂叫一聲，一頭栽向水泥馬路。
. f$ T. t/ |+ @$ k$ X, g7 w
可見，利用ARP欺騙，一個入侵者可以得到：
' _% }. I* \3 J3 F5 @1、利用基于ip的安全性不足，冒用一個合法ip來進入主機。
2、逃過基于ip的許多程序的安全檢查，如NSF,R系列命令等。

甚至可以得到：
* d0 D8 j0 c5 e# M+ N* n
栽賬嫁禍給某人，讓他跳到黃河洗不清，永世不得超生。
) @- @4 Q' }( u  N. j, J/ V
, ]& D, P) v. S1 S* A" I& J那么，如何防止ARP欺騙呢？從我收集整理的資料中，我找出這幾條：（歡迎補充）
. h0 h9 y+ b# f" T2 l
1、不要把你的網(wǎng)絡安全信任關(guān)系建立在ip基礎(chǔ)上或mac基礎(chǔ)上，（rarp同樣存在欺騙的問題），理想的關(guān)系應該建立在ip+mac基礎(chǔ)上。
2、設(shè)置靜態(tài)的mac-->ip對應表，不要讓主機刷新你設(shè)定好的轉(zhuǎn)換表。
3、除非很有必要，否則停止使用ARP，將ARP做為永久條目保存在對應表中。
; N  R3 q3 `8 C. x4、使用ARP服務器。通過該服務器查找自己的ARP轉(zhuǎn)換表來響應其他機器的ARP廣播。
0 r+ B, H/ t; t9 W, B; L- G5 y# i確保這臺ARP服務器不被黑。
  S. H/ G7 f7 H$ d3 T% Q5、使用"proxy"代理ip的傳輸。
6、使用硬件屏蔽主機。設(shè)置好你的路由，確保ip地址能到達合法的路徑。
& _$ P$ J$ _$ N（靜態(tài)配置路由ARP條目），注意，使用交換集線器和網(wǎng)橋無法阻止ARP欺騙。
7、管理員定期用響應的ip包中獲得一個rarp請求，然后檢查ARP響應的真實性。
8、管理員定期輪詢，檢查主機上的ARP緩存。
( Q- l; s0 ]) l! D9、使用火墻連續(xù)監(jiān)控網(wǎng)絡。注意有使用SNMP的情況下，ARP的欺騙有可能導致
陷阱包丟失。
) w. g- s  N) z5 s( b
: |( F5 F4 R  U; E
以下是我收集的資料，供做進一步了解ARP協(xié)議和掌握下次會說到的sniffer on
; i2 p% \4 n3 l7 D6 h8 _9 f0 S! karp spoofing

ARP的緩存記錄格式：
每一行為：
3 X9 J% x# Z# ~" f& Y% `' ]
IF Index:Physical Address:IP Address:Type

) e# v9 t; a4 q1 R" E% \& b其中： IF Index 為：1 乙太網(wǎng)
2 實驗乙太網(wǎng)
2 d5 i+ G. y4 O3 X.25
4 Proteon ProNET (Token Ring)
8 e" x! F6 K) N$ g' z7 n% S5 混雜方式
, \+ e" J7 M$ f8 V- D0 t! X6 IEEE802.X
7 W  P" ^: T, U7 a* W7 ARC網(wǎng)

ARP廣播申請和應答結(jié)構(gòu)

% {+ ~7 {: E# W: T! Q硬件類型：協(xié)議類型：協(xié)議地址長：硬件地址長：操作碼：發(fā)送機硬件地址：
發(fā)送機IP地址：接受機硬件地址：接受機IP地址。
- f+ y' [0 W& B6 x7 ~/ X$ R& b
其中：協(xié)議類型為： 512 XEROX PUP
: {" O: [# }: [513 PUP 地址轉(zhuǎn)換
' K5 |! T1 P: r# {, f1536 XEROX NS IDP
2048 Internet 協(xié)議 (IP)
- k& ]) C& c+ T4 ~+ d% t6 m8 v2 M2049 X.752050NBS
, C9 a5 c2 k6 L/ ~# c2051 ECMA
2 }0 R/ B5 D  Q* J" l/ v6 I( k2 y2053 X.25第3層
2054 ARP
9 r6 b9 h' Y  F0 d% d2055 XNS
; L* j6 T$ {1 [# f9 h9 x  G5 k4096 伯克利追蹤者
21000 BBS Simnet
24577 DEC MOP 轉(zhuǎn)儲/裝載
24578 DEC MOP 遠程控制臺
24579 DEC 網(wǎng) IV 段
8 T7 L0 a$ }! S1 ?0 A24580 DEC LAT
24582 DEC
- L3 w+ K  |# Y( N7 o8 a32773 HP 探示器
, {$ y9 }9 H9 W1 V- n# N32821 RARP
32823 Apple Talk
32824 DEC 局域網(wǎng)橋
8 R0 [% o+ k/ V; h9 A$ r1 I# v& S如果你用過NetXRay ,那么這些可以幫助你了解在細節(jié)上的ARP欺騙如何配合ICMP欺騙而讓一個某種類型的廣播包流入一個網(wǎng)絡